Estado de NIS 2 en Grecia
Lo que exige la directiva, cómo la transpone Grecia y dónde se sitúa la Autoridad Nacional de Ciberseguridad en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a cada Estado miembro, Grecia incluida, con un único nivel mínimo para las entidades esenciales e importantes. Grecia tuvo que trasladar ese nivel al derecho griego y operar un supervisor por debajo.
Grecia transpone NIS 2 a través de la Ley 5160/2024, publicada en el Boletín Oficial A' 195 el 27 de noviembre de 2024. El texto llegó después del plazo de la UE del 17 de octubre de 2024, motivo por el cual Grecia aparece en la lista de cartas de emplazamiento de la Comisión Europea de noviembre de 2024. El procedimiento de infracción se cerró tras la entrada en vigor de la ley.
La Autoridad Nacional de Ciberseguridad (Εθνική Αρχή Κυβερνοασφάλειας), dependiente del Ministerio de Gobernanza Digital, es el punto de contacto único, la autoridad competente y el CSIRT nacional (EL-CSIRT). Para las entidades de la administración pública, el CERT Nacional del Servicio Nacional de Inteligencia (EYP) actúa como CSIRT.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad a escala de la UE. Establece las obligaciones que cada Estado miembro debe transponer, incluida la prueba de tamaño y sector para las entidades esenciales e importantes.
Acto de ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Grecia sin transposición nacional.
Transposición griega
Ley 5160/2024, Boletín Oficial A' 195 de 27 de noviembre de 2024
La transposición de NIS 2 de Grecia. Designa a la Autoridad Nacional de Ciberseguridad, define las entidades esenciales e importantes, fija los poderes de supervisión, los deberes de notificación y las sanciones. Los actos secundarios y la orientación de la autoridad completan el detalle operativo.
Ley 5160/2024
Incorpora las obligaciones de NIS 2 al derecho griego. Define las entidades esenciales e importantes, los poderes de supervisión de la Autoridad Nacional de Ciberseguridad, los deberes de notificación de incidentes y las sanciones. El detalle operativo lo fijan los actos secundarios y la orientación de la autoridad.
La Autoridad Nacional de Ciberseguridad como supervisor y punto de contacto
La Εθνική Αρχή Κυβερνοασφάλειας, dependiente del Ministerio de Gobernanza Digital, es el punto de contacto único, la autoridad nacional competente y la destinataria de la cooperación con ENISA y otros Estados miembros. Los reguladores sectoriales conservan su papel cuando se aplica la lex specialis, en particular en finanzas conforme a DORA.
Registro y notificación
Las entidades se registran ante la Autoridad Nacional de Ciberseguridad en su plataforma digital a través de gov.gr (acceso con taxisnet). El plazo de registro se amplió dos veces y terminó el 30 de septiembre de 2025; las entidades que entren en el ámbito más tarde se registran a través de la misma plataforma. Los incidentes significativos se notifican al CSIRT de la Autoridad (incident@cyber.gov.gr); las entidades de la administración pública notifican al CSIRT del EYP e informan a la Autoridad. La notificación sigue la directiva: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas, informe final en un plazo de un mes.
En Grecia, se aplica el derecho griego
Las actividades en territorio griego siguen la transposición griega. Un administrador alemán con una filial griega lee la Ley 5160/2024 para esa filial, no el BSIG. Las obligaciones de la directiva son idénticas. El procedimiento, el punto de contacto y las sanciones residen en el derecho griego.
Grecia no puede situarse por debajo del mínimo de la UE
La directiva es de armonización mínima. Grecia puede ir más estricta. Grecia no puede situarse por debajo de la directiva, ni en las obligaciones para las entidades esenciales e importantes, ni en los plazos de notificación, ni en la responsabilidad del órgano de dirección.
Autoridad Nacional de Ciberseguridad
Autoridad competente principal, punto de contacto único y supervisor dependiente del Ministerio de Gobernanza Digital. Gestiona el registro, la orientación, las auditorías y las propuestas de sanción. Lleva el canal de cooperación hacia ENISA y el Grupo de Cooperación NIS.
EL-CSIRT (Autoridad Nacional de Ciberseguridad)
Conforme a la Ley 5160/2024, la Autoridad Nacional de Ciberseguridad es en sí misma el CSIRT nacional y recibe las notificaciones de incidentes en incident@cyber.gov.gr. Las entidades de la administración pública notifican en cambio al CERT Nacional del Servicio Nacional de Inteligencia (EYP). La página de Grecia de la Comisión aún enumera el CSIRT anterior de las fuerzas armadas de la época de NIS 1.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, opera la base de datos europea de vulnerabilidades y coordina a través de las fronteras. No es supervisor de las entidades griegas. Ese papel recae en la Autoridad Nacional de Ciberseguridad.
Nuestra matriz alemana cumple conforme al BSIG, así que la filial griega está cubierta.
La filial griega sigue la Ley 5160/2024, se registra ante la autoridad griega y notifica los incidentes al punto de contacto griego. Las obligaciones de la directiva coinciden. El procedimiento, el portal y las sanciones residen en el derecho griego. La documentación a escala de grupo ayuda, pero no sustituye el canal local de registro y notificación.
Grecia fue tardía, así que el registro no se aplica todavía.
La Ley 5160/2024 entró en vigor el 27 de noviembre de 2024. El retraso en la transposición no suspende las obligaciones sustantivas de la directiva. Una vez que una entidad cumple la prueba de tamaño y sector, el registro, la notificación de incidentes, los deberes de cadena de suministro y la responsabilidad del órgano de dirección corren según el reloj de la directiva.
Solo los sectores enumerados en el antiguo régimen NIS 1 están sujetos al ámbito.
NIS 2 amplía la lista de sectores más allá de NIS 1. Las aguas residuales, la producción de alimentos, la fabricación de productos sanitarios, los servicios postales y de mensajería, la administración pública y varios subsectores digitales entran de nuevo. Cada entidad en Grecia tiene que ejecutar la nueva prueba de sector y tamaño, no la lista de NIS 1.
La mayoría de los operadores griegos del mercado medio que conocemos siguen leyendo NIS 2 como una continuación de NIS 1. El supervisor reside en el mismo ministerio, pero el ámbito es más amplio y el órgano de dirección queda personalmente comprometido. El administrador griego, el διαχειριστής o νόμιμος εκπρόσωπος, aprueba la gestión de riesgos y su propia formación.
El paso práctico es el mismo que en toda la UE: ejecutar la aplicabilidad frente a la directiva, registrarse ante la autoridad nacional, configurar los cuatro deberes continuos (mantener actualizados los datos de registro, notificación de incidentes, riesgo de cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La transposición tardía no cambia ese orden.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690, EUR-Lex
- Ley 5160/2024, Boletín Oficial A' 195 de 27 de noviembre de 2024
- Autoridad Nacional de Ciberseguridad (Εθνική Αρχή Κυβερνοασφάλειας), Ministerio de Gobernanza Digital
- Comisión Europea, página de país de la Directiva NIS 2 para Grecia (digital-strategy.ec.europa.eu)
- Comisión Europea, carta de emplazamiento de noviembre de 2024 sobre la transposición de NIS 2
- Decisión 1990/2025 de la Autoridad Nacional de Ciberseguridad (ΦΕΚ Β' 4241/04.08.2025), plazo de registro
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
